FICHE CVE

CVE-2026-27889

Publiée le 2026-03-25 · Dernière modification le 2026-08-24

🇫🇷 EN BREF

Les installations de NATS-Server utilisant les WebSockets sont vulnérables à un plantage entraînant un déni de service complet. Un attaquant non authentifié disposant d'un accès réseau au port WebSockets peut déclencher ce plantage du serveur en envoyant une trame spécifiquement malformée. Comme aucune interaction utilisateur ni aucun identifiant ne sont requis, il s'agit d'une attaque de faible complexité si le port est exposé sur l'internet public.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Dépassement d'entier · CWE-190 CWE-1286

Publiée2026-03-25

Dernière modification2026-08-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Starting in version 2.2.0 and prior to versions 2.11.14 and 2.12.5, a missing sanity check on a WebSockets frame could trigger a server panic in the nats-server. This happens before authentication, and so is exposed to anyone who can connect to the websockets port. Versions 2.11.14 and 2.12.5 contains a fix. A workaround is available. The vulnerability only affects deployments which use WebSockets and which expose the network port to untrusted end-points. If one is able to do so, a defense in depth of restricting either of these will mitigate the attack.